Как указать Access-Control-Allow-Origin в php?

Question

[zxqb]

Есть php файл, который принимает POST запрос.
До исполнения основного кода указано:

header('Access-Control-Allow-Origin: https://siteA.ru');

Но при пост запросе со стороннего сайта основной код выполняется и ошибок нет.

Answer 1

[Дмитрий]

CORS - это для браузера, а не для сервера. Вам нужен http_referer

Comments

[zxqb]

Это безопасно? Суть в том, чтобы никто не мог отправить пост запрос с внешних сайтов

[SagePtr]

zxqb, тогда нужно реализовать защиту от CSRF. Например, вместе с каждым POST-запросом отправлять CSRF-токен, индивидуальный для каждого пользователя или для каждой сессии, нетривиальный для угадывания злоумышленником. Если токена нет или неправильный - то форма была отправлена не с сайта, либо алгоритм генерации CSRF-токенов не подходит для CSRF-токенов (между открытием страницы с формой и самой отправкой токен не должен меняться).

[Дмитрий]

zxqb, как вам уже ответили - нужно применить csrf. А касательно реферера - это не дает никаких гарантий, потому что
1) он легко поддделывается
2) между разными доменами в современных браузерах он может не передаваться даже.